Alat peretas AI meluncurkan 2.900 percobaan login per menit: apakah autentikasi dua faktor sudah aktif di akun perusahaan Anda?

ARTEX, alat peretas yang menjalankan serangannya dengan agen AI, kini bisa dijangkau penyerang mana pun: pada 5 November 2026 Censys menghitung lebih dari 1.465 server terbuka di internet yang menjalankannya, dan sebuah kelompok yang terkait dengan Tiongkok sudah memakainya dalam kampanye menebak kata sandi yang mencapai puncak 2.900 percobaan login per menit. Perlindungan termurah dan tercepat adalah autentikasi dua faktor: studi Microsoft menemukan bahwa cara ini memangkas risiko pembobolan akun hingga 99,22%. Lakukan tiga hal minggu ini: wajibkan autentikasi dua faktor di semua akun email dan admin, matikan protokol email lama, dan minta laporan siapa saja yang belum mendaftar. Jika perusahaan Anda menghubungkan aplikasi luar ke Microsoft 365, baca juga artikel kami tentang pembobolan ConnectWise, karena celah itu tidak tertutup hanya dengan autentikasi dua faktor.

Apa itu ARTEX dan mengapa Anda perlu peduli?

ARTEX adalah kerangka kerja sumber terbuka untuk uji penetrasi otomatis yang dipublikasikan pengembangnya di GitHub pada 26 Juli 2026. Menurut laporan Censys yang terbit pada 5 November 2026, satu agen AI merencanakan serangan dan memecahnya menjadi tugas, agen lain menjalankan alat pemindai dan melaporkan hasilnya, dan siklus ini berulang sampai tujuan tercapai. Microsoft menggambarkannya sebagai alat yang menjalankan serangan dari pengintaian hingga pencurian data dengan sedikit campur tangan manusia.

Setelah penggunaannya dalam serangan nyata terungkap, pengembangnya mengumumkan akan menutup kodenya dan menghapus repositorinya, tetapi salinan arsip dan versi yang diganti nama masih beredar. Censys menghitung sekitar 815 instalasi independen setelah menyisihkan server dengan konfigurasi identik, termasuk 726 server di Amerika Serikat, 387 di Hong Kong, dan 177 di Tiongkok. Dalam praktiknya, pekerjaan yang dulu butuh satu tim penyerang kini cukup dikerjakan satu orang dengan alat gratis.

Apa yang benar-benar dilakukan para penyerang dengannya?

Dalam laporan yang terbit pada 21 Oktober 2026, Microsoft mendokumentasikan kampanye kelompok yang dilacaknya sebagai Storm-0940, yang memakai ARTEX untuk menebak kata sandi secara otomatis antara 10 dan 14 Oktober:

• 327 akun di 8 organisasi diserang dengan password spraying, yaitu mencoba kata sandi umum di banyak akun.
• Lebih dari 151.000 login gagal, lebih dari 111.000 di antaranya dalam satu hari, dengan puncak 2.900 percobaan per menit pada 11 Oktober.
• 48 akun masing-masing menerima lebih dari 1.000 percobaan gagal.
• Dalam serangan lain oleh kelompok yang sama, kurang dari 3 jam berlalu antara penargetan pertama dan akses istimewa ke infrastruktur cloud.

Microsoft menyatakan tidak melihat login yang berhasil dari kampanye tersebut, karena penguncian akun menahan sebagian besar percobaan. Namun TechCrunch merangkum pada 6 November bahwa banyak serangan seperti ini memanfaatkan kelemahan sederhana: kata sandi lemah atau sudah dikenal, dan tidak adanya autentikasi multifaktor.

Mengapa kata sandi saja tidak lagi cukup

Memang tidak cukup. Mesin tidak lelah dan tidak tidur, dan setiap akun dengan kata sandi yang dipakai ulang atau pernah bocor cepat atau lambat akan dicoba. Autentikasi dua faktor menambahkan faktor kedua yang tidak dimiliki penyerang: kode di aplikasi pada ponsel karyawan, kunci keamanan, atau passkey. Peneliti Microsoft menganalisis akun nyata yang menunjukkan aktivitas mencurigakan dan menemukan, dalam studi yang mereka terbitkan, bahwa autentikasi dua faktor memangkas risiko pembobolan hingga 99,22%, dan hingga 98,56% bahkan ketika kata sandi sudah bocor. Mereka juga menemukan aplikasi autentikator lebih unggul daripada kode SMS, meski keduanya jauh lebih baik daripada tidak ada sama sekali.

Peringatan penting dari dokumentasi Microsoft: protokol email lama seperti IMAP, POP3, dan SMTP tidak mendukung autentikasi dua faktor, sehingga penyerang bisa login melaluinya dan melewati seluruh perlindungan. Aktivasi belum lengkap sampai protokol tersebut dimatikan.

Apa kata kontrol dari Otoritas Keamanan Siber Nasional?

Kontrol Keamanan Siber Esensial ECC-2:2024 yang diterbitkan Otoritas Keamanan Siber Nasional Arab Saudi (NCA) mewajibkan autentikasi multifaktor setidaknya di tiga tempat:

• Kontrol 2-2-3-2: untuk akses jarak jauh dan akun dengan hak istimewa.
• Kontrol 2-4-3-2: untuk akses jarak jauh dan webmail ke email.
• Kontrol 2-15-3-5: untuk akses pengguna ke aplikasi web eksternal.

Kontrol ini mengikat instansi pemerintah, perusahaan afiliasinya, dan entitas swasta yang memiliki, mengoperasikan, atau menampung infrastruktur nasional yang kritis, dan Otoritas sangat mendorong semua entitas lain di Kerajaan untuk memanfaatkannya. Jika Anda memasok layanan ke instansi pemerintah, bersiaplah ditanya soal ini dalam penilaian pemasok.

Langkah mengaktifkannya minggu ini

• Microsoft 365: di pusat admin Microsoft Entra buka Entra ID, lalu Overview, lalu Properties, lalu Manage security defaults, dan aktifkan. Default keamanan gratis, tidak perlu lisensi tambahan, mewajibkan autentikasi dua faktor bagi admin, dan memblokir protokol lama. Microsoft menyarankan dua akun admin darurat yang tidak terikat pada satu karyawan agar Anda tidak pernah terkunci di luar.
• Google Workspace: di Menu, lalu Security, lalu Authentication, lalu 2-step verification, izinkan dulu karyawan mendaftar, lalu wajibkan mulai tanggal tertentu. Google mengizinkan masa pendaftaran pengguna baru dari 1 hari hingga 6 bulan, dan Anda bisa mewajibkan kunci keamanan atau passkey untuk manajemen dan keuangan.
• Prioritas: mulai dari akun admin, keuangan, dan email, lalu karyawan lainnya, kemudian sistem lain seperti sistem akuntansi, toko online, dan panel hosting.
• Tindak lanjut: minta laporan mingguan siapa yang belum mendaftar, dan jangan beri pengecualian kecuali sementara dengan alasan tertulis.

Pandangan Origami

Yang berubah bukan jenis serangannya, karena menebak kata sandi adalah cara lama, melainkan biayanya: kini otomatis, murah, dan tersedia bagi siapa saja. Bisnis yang email dan sistem akuntansinya masih terbuka hanya dengan kata sandi sedang bertaruh bahwa penyerang tidak akan pernah sampai, dan taruhan itu lama-lama kalah.

Karena itu setiap sistem yang diserahkan Origami dibangun agar login melewati setidaknya dua faktor, terhubung dengan single sign-on bila bisnis sudah memiliki akun Microsoft atau Google, seperti yang kami jelaskan dalam artikel kami tentang autentikasi aman dan SSO. Jika Anda ingin meninjau cara tim Anda masuk ke sistem Anda, atau menghubungkannya ke satu akun yang terlindungi, hubungi kami.

Kesimpulan

Alat serang AI gratis kini mencoba ribuan kata sandi per menit tanpa lelah. Autentikasi dua faktor ditambah mematikan protokol lama menutup sebagian besar pintu itu, dan bisa diaktifkan di Microsoft 365 dan Google dalam beberapa hari tanpa biaya tambahan. Mulailah hari ini dari manajemen dan keuangan, dan jangan menunggu akun Anda muncul di daftar korban pada laporan berikutnya.

Sumber

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 Oktober 2026
• Censys: laporan ARTEX dan server yang terbuka, 5 November 2026
• Otoritas Keamanan Siber Nasional (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 November 2026